Stopp: Flash-Sicherheitslücke, Flash-Player deaktivieren!

Auf meinen Windows 7-Systemen habe ich längst kein Flash mehr installiert – aber Google Chrome, Windows 8 und Windows 8.1 kippen mir den Flash-Player wieder auf’s System. In der aktuellen Version klafft aber möglicherweise eine ungepatchte Sicherheitslücke, so dass man den Adobe Flash vorsorglich deaktivieren sollte.


Anzeige

Die Meldung habe ich gestern, kurz vor dem Microsoft-Event, hier bei heise.de gelesen. Wegen Zeitmangels liefere ich die benötigten Infos jetzt nach. Auf dieser Webseite beschreibt ein Sicherheits-Experte eine ungepatchted Zero-Day Sicherheitslücke in Adobes Flash Player. Für Sicherheitslücke CVE-2014-8440 gibt es zwar einen Patch vom 11. November 2014. Laut dem Artikel auf dieser Webseite ist die Lücke aber nicht wirklich geschlossen.

Und nun hat der Betreiber der Site dontneedcoffe.com einen Angriff einer Angler EK- Malware-Variante auf genau diese Lücke gefunden. Diese versucht drei Angriffsszenarien auf den Adobe Flash Player 16.0.0.257, um Sicherheitslücken zu finden. Es heißt natürlich nicht, dass diese Angriffe erfolgreich sind – möglicherweise lässt sich die Sicherheitslücke nicht ausnutzen. Aber der Umstand, dass nicht alle Angler EK-Varianten diese Exploits versuchen, deutet möglicherweise darauf hin, dass es noch “Leichen im Keller” gibt.

Der Autor des oben verlinkten Beitrags schreibt, dass es noch jede Menge Fragen gibt. So hat er Angriffe auf folgende Flash-Versionen beobachtet:

  • Windows XP, IE 6 bis IE 8; Flash 16.0.0.257 (wird aber alles nicht mehr supported)
  • Windows 7, IE 8, Flash 16.0.0.257:
    UA : Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
  • Windows 8; IE 10 mit dem Update Windows8-RT-KB3008925-x86 (Flash 16.0.0.235):
    UA : Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Trident/6.0)
  • Windows 8; IE 10 alle Updates installiert (Flash 16.0.0.257)

Laut diesem Bericht sollen folgende Konstellationen von der betreffenden Angler EK-Instanz nicht angegriffen werden:

  • Windows 8.1 mit allen Updates: Hier wird aber ein “Helper” probiert, der möglicherweise auf die Lücke CVE-2014-0322 abzielt
    – UA : Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv:11.0) z.B. Gecko
  • Chrome : Kein Angriff festgestellt
    – UA: Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, z.B. Gecko)
    – Chrome/39.0.2171.99 Safari/537.36

Der Autor des obigen Reports schreibt, dass es, angesichts der vielen offenen Fragen und des neuen Angriffs, eine gute Idee sei, den Flash Player für ein paar Tage zu deaktivieren, bis Patches vorliegen oder die Exploits als nicht funktionierend eingestuft sind.

Updaten und ggf. Flash deaktivieren

Für Flash Benutzer heißt dies als minimale Maßnahme : Auf jeden Fall die Windows 8/8.1-Updates installieren, um auf dem neuesten Patchstand zu sein. Auch bei Google Chrome ist die neueste Browserversion zu installieren. Und unter Windows 7 ist der Flash Player zu aktualisieren. Ich habe das alles im Beitrag Patchday-Nachlese: Microsoft, Google, Adobe … angerissen.

Wer sich keinen Risiken aussetzen möchte, deinstalliert eine Flash-Installation auf allen Systemen bis einschließlich Windows 7. Das funktioniert über Programme deinstallieren der Systemsteuerung.


Werbung

Beim Google Chrome muss Flash trickreich abgeschaltet werden. Wie das funktioniert, hat Adobe im Artikel Aktivieren von Flash Player in Google Chrome | Windows | Mac beschrieben. Einfach chrome://plugins im Adressfeld eingeben und das Flash-Plugin auf “Deaktivieren” setzen – fertig.

Für Windows gibt Adobe auf dieser Webseite Tipps, um den Flash-Player in diversen Browsern einzuschalten. Also dort hingehen und die Tipps nutzen, um Flash zu deaktivieren. Im IE geht man auf Extras – Add-Ons verwalten im Menü des Browsers.

Dann kann man (entgegen der Adobe Tipps) im Fenster Add-Ons verwalten das Listenfeld Anzeigen auf “Alle Add-Ons” einstellen, den Eintrag “Shockwave Flash Object” anwählen und das Add-On vorsorglich deaktivieren. 

Ähnliche Artikel:
Adobe-Patches schließen Sicherheitslücken in Flash & Co
Flash-Sicherheits-Update von Adobe und Microsoft
Update für Adobe Flash
Patchday-Nachlese: Microsoft, Google, Adobe …


Anzeige

Dieser Beitrag wurde unter Sicherheit, Virenschutz abgelegt und mit , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

6 Responses to Stopp: Flash-Sicherheitslücke, Flash-Player deaktivieren!

  1. Pingback: Achtung: Angriffe auf den Adobe Flash-Player! | Günnis Seniorentreff 50+

  2. Matthias sagt:

    Hallo Günter,

    aktuell steht die gefixte Version 16.0.0.287 vom 18.01.2015 zur Verfügung.

    Download-Links:

  3. Werbung

  4. Stephan Hahn sagt:

    Hallo Günter,

    aktuell steht die Version
    Adobe Flash Player 16.0.0.296 – 25. Jan.2015 –

    zur Verfügung.

    Ich weiss allerdings nicht, ob die von die angesprochenen Probleme damit gefixt sind ?
    LG

  5. Pingback: Microsoft Flash Security-Update KB 3035034 for Windows 8/8.1 | Born's Tech and Windows World

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.